ZAH3C交换机设备安全基线029

1、H3c设备安全配置基线目录第1章概述41.1 追求41.2 适用范围41.3 适用版本4第2章帐号管理、认证授权安全要求62.1 帐号管理62.1.1 用户帐号分配*62.1.2 删除无关的帐号*72.2 口令82.2.1 静态口令以密文形式存放82.2.2 帐号、口令和授权92.2.3 密码复杂度102.3 授权112.3.1 用IP协议进行远程维护的设备使用SSH等加密协议11第3章日志安全要求123.1 日志安全123.1.1 启用信息中心123.1.2 开启NTP服务保证记录的进度的准确性133.1.3 远程日志功能*14第4章IP协议安全要求154.1IP协议154.1.1 VRRP

2、认证154.1.2 系统远程服务只允许特定地址访问154.2功能配置164.2.15 NMP的Community默认通行字口令强度164.2.16 与特定主机进行SNMP协议交互174.2.17 置SNMPV2或以上版本184.2.18 闭未使用的SNMP协议及未使用write权FM19第5章IP协议安全要求205.1 其他安全配置205.1.1 关闭未使用的接口205.1.2 修改设备缺省BANNER215.1.3 配置定时账户自动登出215.1.4 配置console口密码保护功能225.1.5 端口与实际应用相符23第1章概述1.1 追求规范配置H3c路由器、交换机设备，保证设备基本安全

3、。1.2 适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。1.3 适用版本comwareV7版本交换机、路由器。第2章帐号管理、认证授权安全要求2.1 帐号管理2.1.1 用户帐号分配*1、安全基线名称：用户帐号分配安全2、安全基线编号：SBL-H3C-02-01-013、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。4、参考配置制作：H3Clocal-useradminH3C-luser-manage-adminpasswordhashadminmmu2H3C-luser-manage-adminauthoriza

4、tion-attributeuser-rolelevel-15H3Clocal-useruserH3C-luser-network-userpasswordhashusernhesaH3C-luser-network-userauthorization-attributeuser-rolenetwork-operator5、安全判定条件：（1）配置文件中，存在不同的账号分配（2）网络管理员确认用户与账号分配关系明确6、检测制作：使用命令discu命令查看：#local-useradminclassmanagepasswordhash$h$6$mmu2MlqLkGMnNyKy$9R2lM4uRD

5、sxuoWQ=service-typesshauthorization-attributeuser-rolelevel-15#local-useruserclassnetworkpasswordhash$h$6$mmu2MlqLkGMnNyservice-typesshauthorization-attributeuser-rolenetwork-operator#对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。2.1.2 删除无关的帐号*1、安全基线名称：删除无关的账号2、安全基线编号：SBL-H3C-02-01-023、安全基线说明：应删除与设备运行、维护

6、等工作无关的账号。4、参考配置制作：H3Cundolocal-useruserclassnetwork5、安全判定条件：（1）配置文件存在多个账号（2）网络管理员确认账号与设备运行、维护等工作无关6、检测制作：使用discur|includelocal-use命令查看：H3Cdiscur|includelocal-userlocal-useradminclassmanagelocal-useruser1classmanage若不存在无用账号则说明符合安全要求。2.2 口令2.2.1 静态口令以密文形式存放1、安全基线名称：静态口令以密文形式存放2、安全基线编号：SBL-H3C-02-02-01

7、3、安全基线说明：配置本地用户和super口令使用密文密码。4、参考配置制作：H3Clocal-useradminH3C-luser-manage-adminpasswordhash密文<password>/配置本地用户密文密码H3Csuperpasswordhash钠文password/酉己置supe能码使用密文加密5、安全判定条件：配置文件中没有明文密码字段。6、检测制作：使用discur显示本地用户账号和supe能码为密文密码#local-useradminclassmanagepasswordhash$h$6$mmu2MlqLkGMnNyKy$9R2lM4uRDoZlLwO

8、/4Jn/G1OXExEKsv+c2lNRICxCEUU13fGSGCqkVojcHvn8a6u8gcHLXVWaCgq4/VI0sxuoWQ=service-typesshtelnetauthorization-attributeuser-rolelevel-15#local-useruser1classmanagepasswordhash$h$6$Vq2YRqXUGH5+Rb7H$gXyN9RI9CPidNbbabnP8Ul6RvR9p8+AchsO5MmNV+ePgOJ6z8/mZTL1hlnQV14oDAbvP5uHhG7gP1/U0pwHGFQ=authorization-attri

9、buteuser-rolenetwork-operator#superpasswordrolenetwork-adminhash$h$6$5hCfLSGRV20XIu31$CMRoTM2axjYWGsOuwnhH7jdyczUUTGupjH0RinySGYft6k9RDySQS29QyciznpJoVS/thfJHRWEmiPQG7c13WQ=#2.2.2帐号、口令和授权1、安全基线名称：账号、口令和授权安全基线2、安全基线编号：SBL-H3C-02-02-023、安全基线说明：通过认证系统，确认远程用户身份，判断是否为合法的网络用户。4、参考配置制作：H3Clocal-useradminH3

10、C-luser-manage-adminpasswordhashpipaxingxiangyunH3C-luser-manage-adminauthorization-attributeuser-rolelevel-15H3CdomainadminH3C-isp-adminauthenticationdefaultlocal5、安全判定条件：账号和口令的配置，指定了认证的系统。6、检测制作：H3Cdiscur#domainadmin#domainsystem#domaindefaultenablesystem#2.2.3密码复杂度1、安全基线名称：密码复杂度2、安全基线编号：SBL-H3C-0

11、2-02-033、安全基线说明：对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。4、参考配置制作：H3Clocal-useradminH3C-luser-manage-adminpasswordpipaxingxiangyun5、安全判定条件：密码强度符合要求，密码至少90天进行更换。2.3授权2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议1、安全基线名称：用IP协议进行远程维护设备2、安全基线编号：SBL-H3C-02-03-013、安全基线说明：使用IP协议进行

12、远程维护设备，应配置使用SSH等加密协议连接。4、参考配置制作：H3CsshserverenableH3Clocal-useradminH3C-luser-manage-adminservice-typessh5、安全判定条件：配置文件中只允许SSH等加密协议连接。6、检测制作：使用discur|includess喻令：H3Cdiscur|includesshsshserverenableservice-typesshssh服务为enable犬态表明符合安全要求。第3章日志安全要求3.1 日志安全3.1.1 启用信息中心1、安全基线名称：启用信息中心2、安全基线编号：SBL-H3C-03-01

13、-013、安全基线说明：启用信息中心，记录与设备相关的事件。4、参考配置制作：H3Cinfo-centerenable5、安全判定条件：（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录进度，以及远程登录使用的IP地址。（2）记录用户登录设备后所进行的所有制作。6、检测制作：使用disinfo-cente柏显示InformationCenter:Enable武似信息，如：H3Cdisinfo-centerInformationCenter:EnabledConsole:EnabledMonitor:EnabledLoghost:Enabled10

14、.1.0.20,portnumber:514,hostfacility:local75,portnumber:514,hostfacility:local79,portnumber:514,hostfacility:local7Logbuffer:EnabledMaxbuffersize1024,currentbuffersize512Currentmessages512,droppedmessages0,overwrittenmessages3736Logfile:EnabledSecuritylogfile:DisabledInformationtimest

15、ampformat:Loghost:DateOtheroutputdestination:Date3.1.2 开启NTP服务保证记录的进度的准确性1、安全基线名称：日志记录进度准确性2、安全基线编号：SBL-H3C-03-01-023、安全基线说明：开启NTP服务，保证日志功能记录的进度的准确性。4、参考配置制作：配置ntp客户端，服务器地址为:H3Cntp-serviceenableH3Cntp-serviceunicast-server5、安全判定条件：日志记录进度准确。6、检测制作：H3Cdiscur|includentpntp-service

16、enablentp-serviceunicast-server3.1.3 远程日志功能*1、安全基线名称：远程日志功能2、安全基线编号：SBL-H3C-03-01-033、安全基线说明：配置远程日志功能，使设备能通过远程日志功能传输到日志服务器。/配置接收日志的服务器地址H3Cinfo-centerloghost*.*.*.*H3Cinfo-centersourcedefaultloghostlevelemergency/配置发送的日志级别/5、安全判定条件：日志服务器能够正确接收网络设备发送的日志。6、检测制作：使用命令discur|includeinfo-cente瓷

17、看：H3Cdiscur|includeinfo-centerundocopyright-infoenableinfo-centerloghost0info-centerloghost5info-centerloghost9info-centersourcedefaultloghostlevelemergency第4章IP协议安全要求4.1 IP协议4.1.1 VRRP认证1、安全基线名称：VRRP认证2、安全基线编号：SBL-H3C-04-01-013、安全基线说明：VRRP启用认证，防止非法设备加入到VRRP组中。4、安全判定条件：查看VRRP

18、组，只存在正确的设备。5、检测制作：使用命令disvrrp4.1.2 系统远程服务只允许特定地址访问1、安全基线名称：系统远程服务只允许特定地址访问2、安全基线编号：SBL-H3C-04-01-023、安全基线说明：设备以UDP/TC初议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET®务器、TFTP服务器、FTP服务器、SSHK务器等，应配置设备，只允许特定主机访问。4、参考配置制作：通过配置访问控制列表ACL，只允许特定的地址访问设备的服务，如：H3Cacladvanced3000H3C-acl-ipv4-adv-3000rule0permittcpsource

19、20destination00destination-porteq443H3C-acl-ipv4-adv-3000rule65534denyip5、安全判定条件：在相关端口上绑定相应的ACL。使用discu命令查看：#interfaceVlan-interface10ipaddress0packet-filter3000inbound#4.2功能配置4.2.1 SNMP的Community默认通行字口令强度1、安全基线名称：SNMP协议的community团体字2、安全基线编号：SBL-H3C-04-02-013、安

20、全基线说明：修改SNMP的community默认团体字，字符串应符合口令强度要求。4、参考配置制作：H3Csnmp-agentcommunityread<communityffl体字>H3Csnmp-agentcommunitywrite<community团体字>5、安全判定条件：Community非默认，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。6、检测制作：使用命令discur|includesnmpS看：H3Cdiscur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A28

21、0A4F25325010000000001snmp-agentcommunityreadxiangyun_readsnmp-agentcommunitywritexiangyun_writesnmp-agentsys-infoversionv3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestp7、补充：若设备不需要使用SNMP协议应关闭SNMP功能，若需要用到应使用V2版本以上的SNMP协议。4.2.2 只与特定主机进行SNMP协议交互1、安全基线名称：只与特定主机进行SNMP协议交互2、安全基线编号

22、：SBL-H3C-04-02-023、安全基线说明：设备只与特定主机进行SNMP协议交互4、参考配置制作：使用ACL限制只与特定主机进行SNMP交互H3Cacladvancednameacl_snmpH3C-acl-ipv4-adv-acl_snmprulepermitipsource00H3C-acl-ipv4-adv-acl_snmpruledenyipsourceanyH3Csnmp-agentcommunityreadxiangyunaclnameacl_snmp5、安全判定条件：SnmpO定了acl6、检测制作：使用discur|includesnm阶令查看：H3C

23、discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyunsnmp-agentsys-infoversion3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestpsnmp-agentcommunityreadxiangyunaclnameacl_snmp4.2.3 配置SNMPV2或以上版本1、安全基线名称：配置SNMPv2或以上版本2、

24、安全基线编号：SBL-H3C-04-02-033、安全基线说明：系统应配置SNMPv2或以上版本4、参考配置制作：H3Csnmp-agentsys-infoversionv35、安全判定条件：系统可以成功使用snmpv减v3版本协议。6、检测制作：使用discur|includesnm阶令查看：H3Cdiscur|includesnmp.snmp-agentsys-infoversion 关闭未使用的SNMP协议及未使用write权限1、安全基线名称：关闭未使用的SNMP协议及未使用write权限2、安全基线编号：SBL-H3C-04-02-043、安全基线说明：系统应及时关闭未

25、使用的SNMP协议及未使用write权限4、参考配置制作：H3Cundosnmp-agentcommunitypipaxing5、安全判定条件：SnmptOM为read。6、检测制作：使用discur|includesnm阶令查看，权限只有read:H3Cdiscur|includesnmp16/20第5章其他安全要求5.1 其他安全配置5.1.1 关闭未使用的接口1、安全基线名称：关闭未使用的接口2、安全基线编号：SBL-H3C-05-01-013、安全基线说明：关闭未使用的接口4、参考配置制作：H3Cintg1/0/10H3C-GigabitEthernet1/0/10shutdown5、

26、安全判定条件：未使用接口应该管理员down。6、检测制作：H3Cdiscur.#interfaceGigabitEthernet1/0/10portlink-modebridgecomboenablefibershutdown#.5.1.2 修改设备缺省BANNER语1、安全基线名称：修改设备缺省BANNER语2、安全基线编号：SBL-H3C-05-01-023、安全基线说明：要修改设备缺省BANNER,BANNE最好不要有系统平台或地址等有碍安全的信息。4、参考配置制作：H3CheaderloginPleaseinputbannercontent,andquitwiththecharacter'%'.5、安全判定条件：欢迎桌面、提示符等不包含敏感信息。6、检测制作：通过远程登录或console口登录查看设备提示信息。5.1.3 配置定时账户自动登出1、安全基线名称：配置账号定时自动退出2、安全基线编号：SBL-H3C-05-01-033、安全基线说明：如Telnet、ssh、consoled录连接超时退出4、参考配置制作：配置vty登录3分钟无制作自动退出：H3Cuser-interfacevty04H